Техническая информация
Изменения в файловой системе
Создает следующие файлы
- volume{600ba660-c712-11e6-a54f-080027cffa47}
- volume{600ba660-c712-11e6-a54f-080027cffa47}\system volume information\tracking.log.tmp
- volume{e976cfe5-602e-11eb-87fa-806e6f6e6963}
- D:\warning.txt
- %HOMEPATH%\documents\warning.txt
- %APPDATA%\microsoft\windows\recent\warning.txt
- %HOMEPATH%\favorites\warning.txt
- %HOMEPATH%\music\warning.txt
- %HOMEPATH%\videos\warning.txt
- C:\users\public\desktop\warning.txt
- %HOMEPATH%\desktop\warning.txt
Перемещает следующие файлы
- volume{600ba660-c712-11e6-a54f-080027cffa47}\system volume information\tracking.log.tmp в volume{600ba660-c712-11e6-a54f-080027cffa47}\system volume information\tracking.log
Изменяет следующие файлы
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).
Сетевая активность
UDP
- DNS ASK s.###id7.xyz
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c format A: /fs:ntfs /q /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del A:\\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c format D: /fs:ntfs /q /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del D:\\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c format E: /fs:ntfs /q /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del E:\\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c format F: /fs:ntfs /q /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del <Имя диска съемного носителя>:\\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Documents\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Desktop\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %APPDATA%\Microsoft\Windows\Recent\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Favorites\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Music\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Videos\* /F /Q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del C:\Users\Public\Desktop\* /F /Q' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c format A: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Videos\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Music\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Favorites\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del %APPDATA%\Microsoft\Windows\Recent\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Desktop\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del %HOMEPATH%\Documents\* /F /Q
- '%WINDIR%\syswow64\cmd.exe' /c del <Имя диска съемного носителя>:\\* /F /Q
- '%WINDIR%\syswow64\format.com' F: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c format F: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c del E:\\* /F /Q
- '%WINDIR%\syswow64\format.com' E: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c format E: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c del D:\\* /F /Q
- '%WINDIR%\syswow64\format.com' D: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c format D: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c del A:\\* /F /Q
- '%WINDIR%\syswow64\format.com' A: /fs:ntfs /q /y
- '%WINDIR%\syswow64\cmd.exe' /c del C:\Users\Public\Desktop\* /F /Q
- '%WINDIR%\syswow64\notepad.exe' %HOMEPATH%\Desktop\Warning.txt
